Abo
  • Services:
Anzeige
Die Threema-Validation funktioniert zwar, sagt aber wenig aus.
Die Threema-Validation funktioniert zwar, sagt aber wenig aus. (Bild: Screenshot / Hanno Böck)

Verschlüsselung: Validation von Threema ist wenig aussagekräftig

Der Messenger Threema verspricht sichere Verschlüsselung und bietet eine sogenannte "Validation", bei der ein Nutzer angeblich überprüfen kann, ob eine Nachricht korrekt verschlüsselt wurde. Doch die Validation sagt wenig über die Sicherheit des Systems.

Anzeige

Threema profitiert zurzeit wie viele andere mobile Messenger von abwandernden Whatsapp-Nutzern. Der von einem Schweizer Unternehmen entwickelte Messenger wirbt mit Ende-zu-Ende-Verschlüsselung. Der größte Kritikpunkt an Threema ist der fehlende Quellcode: Das Programm steht Nutzern nur als Binärpaket zur Verfügung. Gerade bei Kryptographie ist aber für viele Fachleute die Verfügbarkeit des Quellcodes essentiell. Denn damit können Dritte am besten überprüfen, ob eine Verschlüsselung auch wirklich sicher ist. Als der Autor dieses Artikels vor kurzem in einem Kommentar Threema kritisierte, wurden wir von vielen Lesern darauf hingewiesen, dass Threema die Möglichkeit biete, die Verschlüsselung zu prüfen. Wir haben uns daher die Threema Encryption Validation näher angesehen.

Die Verschlüsselung von Threema

Threema nutzt für die Verschlüsselung die NaCl-Bibliothek. Hinter NaCl stehen die bekannten Kryptographen Daniel Bernstein und Tanja Lange. Das Ziel bei der Entwicklung von NaCl war explizit, eine Bibliothek zu schaffen, bei der man wenig falsch machen kann. Die Komplexität der kryptographischen Operationen ist weitgehend abstrahiert, so dass ein Programmierer mit wenigen Funktionsaufrufen eine Verschlüsselung realisieren kann.

NaCl genießt unter Kryptographen einen exzellenten Ruf, und an der Nutzung dieser Bibliothek ist wenig auszusetzen. Der Quellcode von NaCl ist Public Domain und kann von jedem geprüft und genutzt werden, egal ob in freier Software oder in proprietären Programmen wie Threema.

Die Validation von Threema

Threema ermöglicht es, verschlüsselte Nachrichten in einem Logfile auf dem Smartphone zu speichern. Diese können dann mit zwei kleinen Programmen überprüft werden, die die NaCl-Bibliothek verwenden und auf der Threema-Webseite im Quellcode heruntergeladen werden können. Hierzu ist der private Schlüssel des Anwenders nötig.

Wir konnten die Funktionsweise dieser Validation nachvollziehen. Das Programm ließ sich unter Linux problemlos kompilieren. Die Threema-Entwickler werben auf der Webseite zur Validation mit einem großen Versprechen: "Threema enthält ein 'Validation logging'-Feature, welches es jedem ermöglicht, unabhängig zu prüfen, dass die von Threema versendeten Nachrichten mit der NaCL-Bibliothek Ende-zu-Ende-verschlüsselt wurden."

Doch was sagt die Validation wirklich aus? Zunächst ist es für einen Nutzer nicht möglich zu prüfen, ob die Nachricht, die von Threema geloggt wird, auch wirklich der Nachricht entspricht, die online versendet wurde. Wir haben das getestet und den Datenverkehr von Threema beobachtet. Das Problem dabei: Threema verbindet sich per HTTPS mit einem API-Server unter api.threema.ch. Das ist im Grunde eine sinnvolle Maßnahme, um den Protokolldatenverkehr zusätzlich zu schützen, doch die Validation wird damit zur Makulatur.

Wir haben testweise versucht, den HTTPS-Datenstrom mit einer Man-in-the-Middle-Attacke und einem gefälschten Zertifikat mitzulesen; das hat aber erwartungsgemäß nicht funktioniert, da Threema offenbar das Zertifikat des API-Servers prüft. Auch das ist selbstverständlich sinnvoll, doch es unterbindet jeden Versuch, Einblick in den Datenverkehr zu bekommen.

Doch selbst wenn ein Nutzer darauf vertraut, dass eine verschlüsselte Nachricht, die im Logfile abgespeichert wird, auch der tatsächlich verschickten Nachricht entspricht: Die Aussagekraft ist gering. Dazu lohnt sich ein Blick auf eine von Threema geloggte Nachricht. Diese besteht aus einem Nonce und der eigentlichen, verschlüsselten Nachricht. Der Nonce ist ein Zufallswert, zumindest dann, wenn die Verschlüsselung korrekt arbeitet. Darauf muss der Anwender aber vertrauen. Will ein Programmautor eine böswillige Hintertür in eine Verschlüsselungssoftware einbauen, bietet sich der Nonce geradezu an. Man könnte dort etwa Informationen einbauen, die mit einem geheimen, im Programm integrierten Schlüssel verschlüsselt sind. Ein so verschlüsseltes Datenpaket sieht ohne Kenntnis des Geheimschlüssels nach Zufallszahlen aus, für den Nutzer scheint also alles in Ordnung zu sein.

Nur Reverse Engineering könnte Aufschluss geben 

eye home zur Startseite
Simon B. 20. Apr 2016

Siehe: https://shop.threema.ch/eula

Jenny_Webber 28. Jul 2014

Das iOS Data Protection Feature nützt bei einem Messenger leider wenig bis nichts. Denn...

blubby666 28. Jul 2014

Die könnten doch dann immernoch wie jetzt bei Threema für den Offline Zeitraum auf dem...

ikhaya 23. Mär 2014

Ich denke das die Infos von Jan Ahrens zum Protokoll von Threema durchaus interessant...

onewaypub 11. Mär 2014

Hmm. Interessant. Das heißt Du vertraust Snowden mehr. Womit wir beim Thema Vertrauen...



Anzeige

Stellenmarkt
  1. Interhyp Gruppe, München
  2. Regierungspräsidium Freiburg, Freiburg
  3. virtual solution AG, München
  4. L-Bank Staatsbank für Baden-Württemberg, Karlsruhe


Anzeige
Spiele-Angebote
  1. (-15%) 33,99€
  2. 18,99€
  3. ab 59,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. GPS Share

    Gnome-Anwendung teilt GPS-Daten im LAN

  2. Net-Based LAN Services

    T-Systems bietet WLAN as a Service ab Juni

  3. Angacom

    Unitymedia verlangt nach einem deutschen Hulu

  4. XYZprinting Nobel 1.0a im Test

    Wie aus einem Guss

  5. Square Enix

    Rollenspiel Lost Sphear mit Weltenerbauung angekündigt

  6. Gratis-WLAN

    EU gibt 120 Millionen Euro für 8.000 Hotspots aus

  7. Continental

    All Charge macht Elektroautos kompatibel für alle Ladesäulen

  8. Rime

    Entwickler kündigen Entfernung von Denuvo nach Crack an

  9. Inspiron Gaming Desktop

    Dell steckt AMDs Ryzen in Komplett-PC

  10. Bluetooth-Wandschalter

    Enocean steuert das Licht mit Energy Harvesting



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später

The Surge im Test: Frust und Feiern in der Zukunft
The Surge im Test
Frust und Feiern in der Zukunft
  1. Computerspiele und Psyche Wie Computerspieler zu Süchtigen erklärt werden sollen
  2. Wirtschaftssimulation Pizza Connection 3 wird gebacken
  3. Mobile-Games-Auslese Untote Rundfahrt und mobiles Seemannsgarn

Vernetzte Hörgeräte und Hearables: Ich filter mir die Welt widdewiddewie sie mir gefällt
Vernetzte Hörgeräte und Hearables
Ich filter mir die Welt widdewiddewie sie mir gefällt
  1. Polar Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung
  2. The Dash Pro Bragis Drahtlos-Ohrstöpsel können jetzt auch übersetzen
  3. Beddit Apple kauft Schlaf-Tracker-Hersteller

  1. 2011 ist noch ok...

    dice2k | 13:31

  2. Re: CPU Benchmark

    Phantom | 13:29

  3. Re: 15k pro AP?

    IncredibleAlk | 13:28

  4. Re: Völliger Schwachsinn

    Meisterqn | 13:27

  5. Re: Ergonomische Tastaturen mit Cherry-MX-Blue...

    SelfEsteem | 13:26


  1. 13:09

  2. 12:45

  3. 12:32

  4. 12:03

  5. 11:52

  6. 11:40

  7. 11:34

  8. 10:23


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel